(57)【要約】【課題】より長い時間スケールを要するオペレータによる介入を必要とするのではなく、短い時間スケールで感度を自動的に調整する検出システムを提供すること。【解決手段】データネットワーク上で検出された攻撃に基づいてフィルタ１６を最適化するための機器は、推定手段２４および最適化手段２２を含む。推定手段２４は、検出器が攻撃を検出し、検出器が不正確な攻撃重大度を送信したとき、動作する。推定手段２４は、正確な攻撃重大度を決定する。最適化手段２２はパラメータを調整し、そのパラメータはフィルタ１６への入力となる。【選択図】図２
2006352864.tif 000002
【特許請求の範囲】
【請求項１】
データネットワーク上で検出された攻撃に基づいて、フィルタを最適化するための機器であって、
検出器が攻撃を検出し、前記検出器が不正確な攻撃重大度を送信したときに動作して正確な攻撃重大度を決定する推定手段と、
フィルタへ入力されるパラメータを調整する最適化手段であって、前記フィルタが検出器およびパケットブロック手段を含む最適化手段と、
接続または特定性能接続の量に基づいてサーバが受け入れることのできる正常要求最大数を最適化するバッファ認識機能と、
を備えることを特徴とする機器。
【請求項２】
請求項１に記載の機器において、
前記推定手段が、攻撃重大度モニタであることを特徴とする機器。
【請求項３】
請求項１に記載の機器において、
前記推定手段が、前記フィルタのパラメータ設定を使用して、前記攻撃重大度を決定することを特徴とする機器。
【請求項４】
請求項１に記載の機器において、
前記推定手段が、前記パラメータを継続的に更新することを特徴とする機器。
【請求項５】
請求項１に記載の機器において、
前記推定手段が、コスト機能から決定されることを特徴とする機器。
【請求項６】
請求項５に記載の機器において、
前記コスト機能が、フォールスネガティブおよびフォールスポジティブに基づいてとられるアクションに関連することを特徴とする機器。
【請求項７】
請求項１に記載の機器において、
前記検出器が、攻撃特性を求めてパケットを受動的にスキャンすることを特徴とする機器。
【請求項８】
請求項１に記載の機器において、
前記正確な攻撃重大度が、正常データに対する攻撃データ割合によって測られることを特徴とする機器。
【請求項９】
請求項１に記載の機器において、
前記パラメータが、パケット数で表されるしきい値であることを特徴とする機器。
【請求項１０】
請求項１に記載の機器において、
前記パラメータが、所定の時間あたりのパケット数であることを特徴とする機器。
【請求項１１】
請求項１に記載の機器において、
前記パラメータが、前記最適化手段中に記憶されることを特徴とする機器。
【請求項１２】
請求項１に記載の機器において、
前記パラメータが、前記推定手段から推定が出力されるたびに更新されることを特徴とする機器。
【請求項１３】
請求項１に記載の機器において、
前記パケットブロック手段が、特性に基づいてパケットをブロックするように適合されることを特徴とする機器。
【請求項１４】
請求項１３に記載の機器において、
前記特性が、ＳＹＮフラッド分散サービス拒否攻撃、インターネットワーム感染、ソース偽装なしの分散サービス拒否攻撃、ポートスキャン、電子メールウイルス、スパム電子メール攻撃、またはそれらの組合せであることを特徴とする機器。
【請求項１５】
請求項１に記載の機器において、
前記フィルタが、フォールスネガティブＰnおよびフォールスポジティブＰpを決定して、調整可能なパラメータδを作成することを特徴とする機器。
【請求項１６】
請求項１５に記載の機器において、
前記フィルタが検出されたホストのＩＰアドレスを検疫し、または防御システムがワーム封じ込めを利用することを特徴とする機器。
【請求項１７】
請求項１に記載の機器において、
前記パケットが、オクテット、インターネットプロトコル（ＩＰ）パケット、フレームリレーパケット、非同期転送モード（ＡＴＭ）セル、およびそれらの組合せからなる群から選択されることを特徴とする機器。
【請求項１８】
データネットワーク上で検出された攻撃に基づいて、フィルタを最適化するための機器であって、
データインターフェースと、
パケットを受信するために前記データインターフェースに接続されたプロセッサであって、前記パケットがパラメータを備えるプロセッサと、
攻撃パケットが前記データネットワークに入るのを防止し、前記パケットが、パラメータに基づいてブロックされるブロック手段と、攻撃パケットを検出するための検出器を備えるフィルタと、
前記検出器から送信された攻撃重大度が正確ではないときに動作して正確な攻撃重大度を決定する推定手段と、
前記フィルタへの入力である前記パラメータを調整する最適化手段と
を備えることを特徴とする機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２００５年６月６日に出願した同時係属中の米国仮出願第６０／６８９，２４１号の優先権を主張するものである。
【０００２】
本発明は、一般に、動的トラフィック条件下での、ネットワーク攻撃検出システムにおける感度の自動調整に関する。
【背景技術】
【０００３】
サービス拒否（ＤｏＳ）攻撃においては、攻撃者は、被害者のネットワークまたはサーバに大量のトラフィックで爆撃する。トラフィックの過負荷により、被害者の利用可能な帯域幅、ＣＰＵ容量、または他のクリティカルなシステムリソースが消費され、その結果、ネットワークまたはサーバが、正当なクライアントにサービスすることができない状況に陥る。分散ＤｏＳ（ＤＤｏＳ）攻撃は、さらに大きな損害を与え得る。この攻撃は、多数の攻撃源から同時に、人工的なネットワークトラフィックを生成するものであるからである。「従来の」大量帯域幅攻撃では、攻撃源は、着信パケットのインターネットプロトコル（ＩＰ）ソースアドレスの統計分析の助けを借りて追跡することができる。被害者は、その後、疑わしいＩＰアドレスに由来するトラフィックがあればそれを除外し、その証拠を使用して、攻撃者に対して訴訟を起こすことができる。しかし、多くの攻撃は、現在、「偽装された」ＩＰパケット、すなわち偽のＩＰソースアドレスを含むパケットを使用しており、被害者のネットワークにとって、攻撃から自衛するのがより困難となっている。
【０００４】
【特許文献１】米国特許第６，６３３，８３５号明細書
【特許文献２】米国特許第６，８０１，９４０号明細書
【特許文献３】米国特許第６，８７３，６００号明細書
【特許文献４】米国特許第６，９０７，５２５号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００５】
最近、攻撃検出システムが改善されているが、ネットワークトラフィックを完全に分類するシステムが求められている。攻撃検出システムでは、良いトラフィックをすっかりはじき出し（フォールスポジティブ）、あるいは悪いトラフィックをすっかり受け入れてしまう（フォールスネガティブ）。そのアルゴリズムには、良いトラフィックを拒否し、悪いトラフィックを受け入れるという２つの害悪の間のバランスを正しくとるために、アルゴリズムの「感度」をどのように調整するかという、共通の問題がある。より長い時間スケールを要するオペレータによる介入を必要とするのではなく、短い時間スケールで感度を自動的に調整する検出システムが必要とされている。
【課題を解決するための手段】
【０００６】
本発明は、上記の必要性を満たすものである。
【０００７】
本発明の１つの実施形態は、データネットワーク上で検出された攻撃に基づいてフィルタを最適化するための機器とすることができる。この機器は、推定手段および最適化手段を含むことができる。推定手段は、検出器が攻撃を検出し、その検出器が不正確な攻撃重大度を送信したとき、動作することができる。推定手段は、正確な攻撃重大度を決定する。最適化手段は、１つ以上のパラメータを調整する。そのパラメータは、フィルタへの入力である。
【０００８】
本発明の１つの実施形態においては、この機器は、データネットワーク上で検出された攻撃に基づいてフィルタを最適化するための機器であって、データインターフェース、プロセッサ、フィルタ、推定手段、および最適化手段を備える機器とすることができる。プロセッサは、パケットを受信するために、データインターフェースに接続することができる。パケットは、１つ以上のパラメータを備えることができる。
【０００９】
フィルタは、ブロック手段および検出器を備えることができる。ブロック手段は、攻撃パケットがデータネットワークに入るのを防止する。パケットは、パラメータに基づいてブロックされる。検出器は、攻撃パケットを検出することができる。
【００１０】
推定手段は、検出器が攻撃を検出し、その検出器から送信された攻撃重大度が正確ではないとき、動作することができる。推定手段は、正確な攻撃重大度を決定する。最適化手段は、パラメータを調整することができ、そのパラメータは、フィルタへの入力とすることができる。
【００１１】
発明を実施するための最良の形態は、下記の添付の図面を参照すれば、よりよく理解されよう。
【発明を実施するための最良の形態】
【００１２】
本実施形態については、一覧に挙げた図面を参照して、以下に詳細に説明する。
【００１３】
本実施形態について詳細に説明する前に、本実施形態は、特定の実施形態に限定されず、これらは様々な方法で実施または実行することができることを理解されたい。
【００１４】
本実施形態は、一般に、動的トラフィック条件下において、ネットワーク攻撃検出システムの感度を自動的に調整することに関する。
【００１５】
この実施形態では、重大な攻撃中はより多くの割合の攻撃パケットを防止し、軽度の攻撃中はより多くの正常パケットを許可することにより、ネットワークプロバイダのコストが節約される。コストは、ネットワーク停止、必要とされるネットワークアップグレード、またはデータネットワークへの無許可アクセスで言い表すことができる。
【００１６】
この実施形態は、フィルタを最適化するための機器向けであってよい。最適化は、データネットワーク上で検出された攻撃に基づくことができる。この機器は、推定手段および最適化手段を備えることができる。推定手段は、検出器が攻撃を検出したとき、かつ検出器から送信された攻撃重大度が正確ではないとき、動作することができる。推定手段は、検出器から送信された攻撃重大度が正確ではないとき、正確な攻撃重大度を決定する。適応防御機器は、ＤｏＳ攻撃、ウイルス感染またはワーム感染、電子メールスパミングなどを含めた、様々なネットワーク攻撃に対して適用することができる。これらの実施形態に従って使用することのできるフィルタの一例は、チェン  ジン、ハイニン  ワン、およびカン  Ｇ．シンにより「Ｈｏｐ−Ｃｏｕｎｔ  Ｆｉｌｔｅｒｉｎｇ：Ａｎ  Ｅｆｆｅｃｔｉｖｅ  Ｄｅｆｅｎｓｅ  Ａｇａｉｎｓｔ  Ｓｐｏｏｆｅｄ  ＤＤｏＳ  Ｔｒａｆｆｉｃ」（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １０ｔｈ  ＡＣＭ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒ  ａｎｄ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｓｅｃｕｒｉｔｙ発行）と題する論文で提示された「ホップカウントフィルタ」（ＨＣＦ）である。
【００１７】
推定手段は、パラメータを継続的に更新することができ、あるいは推定手段は、フィルタの設定を変更する必要のあるときだけ、パラメータを更新することができる。
【００１８】
最適化手段は、コスト機能から決定される。コスト機能は、フォールスネガティブおよびフォールスポジティブに基づいてとられるアクションに関係している。コストは、たとえばサービスプロバイダがサービスを継続的に提供しなければならない場合、金銭的な額で言い表すことができる。また、サーバがオフラインになった場合、または提供されるサービスが、ＤＤｏＳ攻撃の結果、事前設定された限界値を下回った場合、サービスプロバイダは、罰金を支払わなければならない。そのため、サービスプロバイダは、ＤＤｏＳ攻撃を正確にフィルタリングすることに直接の金銭的利害関係を有する。事前設定された限界値の一例としては、サービスプロバイダが、着信する正常なユーザのサービス要求の９０％以上を提供しなければならないことが挙げられる。
【００１９】
検出器は、攻撃パケットを確認するが、フォールスポジティブおよびフォールスネガティブによって、攻撃情報が正確ではない可能性がある。たとえば、検出器は、パケットの５０％が攻撃パケットで、５０％が正常パケットであると検出するかもしれない。推定手段は、検出器からこの情報を得て、検出器からのデータに計算を適用して、攻撃パケットの割合の、より正確な表現を作成する。推定手段は、検出器が検出した攻撃のタイプに固有の数式に基づいて推定を行い、この推定は、検出器によって確認された攻撃パケットの割合よりも大きくまたは小さくなり得る。
【００２０】
攻撃重大度は、正常データに対する攻撃データ割合によって測ることができる。
【００２１】
パケットは、オクテット、インターネットプロトコル（ＩＰ）パケット、フレームリレーパケット、非同期転送モード（ＡＴＭ）セル、またはそれらの組合せでよい。
【００２２】
最適化手段は、パラメータを調整することができ、そのパラメータは、フィルタへの入力となる。フィルタは、このパラメータを使用して、感度を調整する。パラメータが攻撃の発生していることを示す場合、フィルタは感度が高くなり、攻撃パケットをより多くブロックする。検出器が攻撃の発生していないことを示す場合、フィルタは感度が低くなり、正常パケットをより多く許可する。
【００２３】
パラメータは、パケット数で表されるしきい値とすることができる。また、パラメータは、所定の時間あたりのパケット数とすることもできる。「パラメータ」という語は、異なる検出器では異なる意味を持ち得る。たとえば、ＳＹＮフラッドＤＤｏＳ攻撃用のホップカウントフィルタリングでは、パラメータは異常許容値である。着信ＳＹＮパケットの観測されたホップ長が、真の値と異なり、しきい値よりも大きいとき、ＳＹＮパケットは攻撃パケットであると決定される。「ＳＹＮ」は、接続している２つのコンピュータ上のシーケンス番号を同期化するために、新しい接続を開始するときに伝送制御プロトコル（ＴＣＰ）で使用される、パケットのタイプを指す。
【００２４】
検出器の感度をより高く設定すれば、検出器は攻撃パケットをより多く検出するようになる。しかし、検出器の感度を高くすると、検出器はより多くのフォールスポジティブを検出する。本発明の実施形態では、検出器からのデータに基づいて、検出器の感度を最適化する。検出器の感度を調整することで、攻撃のあるときは攻撃パケットをより多く防止し、攻撃のないときは正常パケットをより多く許可することにより、データネットワークに対するコスト全体が下がる。
【００２５】
パラメータは、最適化手段中に記憶することができる。パラメータが最適化手段中に記憶されているとき、最適化手段は、計算された新しいパラメータを、記憶されているパラメータと比較する。新しいパラメータが記憶されているパラメータと異なる場合、新しいパラメータをフィルタに送信して、フィルタの攻撃感度を調整する。たとえば、推定手段または検出器からのパラメータが変化しない場合、最適化手段は、新しいパラメータをフィルタに送信する理由はない。
【００２６】
代替実施形態においては、パラメータは、推定手段から推定が出力されるたびに更新することができる。
【００２７】
フィルタは、検出器およびパケットブロック手段を備えることができる。フィルタは、フォールスネガティブＰnおよびフォールスポジティブＰpを決定して、調整可能なパラメータδを生成することができる。推定手段は、フィルタのパラメータ設定を使用して、攻撃重大度を決定することができる。フィルタは、検出されたホストのＩＰアドレスをブラックリストに載せ、あるいは防御システムはワーム封じ込めを利用する。ワーム封じ込めとは、感染したコンピュータを迅速に検疫して、感染トラフィックが他のぜい弱なコンピュータに感染するのをブロックすることを意味する。
【００２８】
ブロック手段は、特性に基づいてパケットをブロックすることができる。特性は、パケットヘッダ、パケット本体、複数のパケット本体、複数のパケットヘッダ、またはそれらの組合せでよい。
【００２９】
検出器は、攻撃特性を求めて、受動的にスキャンすることができる。検出器は、パラメータを直接使用することができ、あるいはサードパーティの装置を使用して、推定手段への入力のためにパラメータを変換することもできる。検出器は、スタンドアロン装置でよく、あるいはルータのソフトウェアに組み込まれていてもよい。推定手段および最適化手段は、スタンドアロン装置でも、検出器に組み込まれていても、またはルータのソフトウェアに組み込まれていてもよい。そのルータのソフトウェアは、ルータのまたは一般的なコンピュータのソフトウェアに拡張することができる。
【００３０】
攻撃としては、ＳＹＮフラッド分散サービス拒否攻撃（ＤＤｏＳ）、インターネットワーム感染、ソース偽装なしの分散サービス拒否攻撃、ポートスキャン、電子メールウイルス、スパム電子メール攻撃、それらの組合せ、およびその他のタイプのネットワーク攻撃が含まれ得る。電子メールウイルスは、電子メールの内容によって検出することができ、ＤＤｏＳは、パケットによって検出することができる。
【００３１】
この機器は、バッファ認識機能をさらに含むことができる。バッファ認識機能は、接続または特定性能接続の量に応じて、サーバの受け入れることのできる、正常な要求の最大数を最適化する。データネットワーク上のサーバ内のバッファは、攻撃パケットでいっぱいになることがあり、その場合、正常パケットをもう受け入れることができなくなる。バッファは、フィルタの後に配置することができる。バッファが、攻撃パケットでいっぱいになった場合、推定手段は、フィルタを調整して、攻撃パケットをより多く防止する必要がある。
【００３２】
バッファは、サイズ［Ｋ］を有することができ、Ｂが必要バッファサイズである。フィルタのパラメータは、Ｂ＜Ｋのときはフィルタがパケットを過剰に多くブロックするので調整され、Ｂ＞Ｋのときはフィルタがパケットを十分にブロックしないので調整される。次の数式を最小化することにより、フィルタを調節するための正しいパラメータを得ることができる。
【数１】
2006352864.tif 000003
【００３３】
データネットワーク上で検出された攻撃に基づいてフィルタを最適化するための機器に関する代替実施形態においては、この機器は、データインターフェースと、プロセッサと、パケットを受信するためにデータインターフェースに接続されたプロセッサであって、パケットがパラメータを備えるプロセッサと、フィルタと、推定手段と、最適化手段とを備える。
【００３４】
フィルタは、ブロック手段および検出器を備えることができる。ブロック手段は、攻撃パケットがデータネットワークに入るのを防止する。そうしたパケットは、パラメータに基づいてブロックすることができ、検出器は、攻撃パケットを検出することができる。
【００３５】
推定手段は、検出器が攻撃を検出し、その検出器から送信された攻撃重大度が正確ではないとき、動作することができる。推定手段は、正確な攻撃重大度を決定する。
【００３６】
最適化手段は、パラメータを調整することができ、そのパラメータは、フィルタへの入力とすることができる。
【００３７】
図面を参照すると、図１は、フィルタ１６の動作を示す。フィルタ１６は、着信データ１０、ドロップデータ１２、および通過データ１４を含んでいる。着信データ１０は、正常パケット２０および攻撃パケット１８をどちらも含んでいる。ドロップデータ１２は、フィルタによって攻撃パケットであると決定されたデータである。しかし、ドロップデータには、正常パケット２０の形のフォールスポジティブが含まれている可能性がある。通過データ１４は、正常パケット２０だけを含むことができる。しかし、攻撃パケット１８の形のフォールスネガティブが現れる可能性がある。
【００３８】
攻撃重大度は、変数［π］で表される。変数［π’］は、検出された攻撃トラフィックの割合（ｆｒａｃｔｉｏｎ）を表し、ドロップデータ［ｍ］を着信トラフィック［ｎ］で割った値で言い表すことができる。書き直した形では、ｍ＝π’・ｎとなる。数式を最適化すると、ｍ＝（１−Ｐn）・π・ｎ＋Ｐp・（１−π）・ｎとなる。ここで、Ｐpは、正常トラフィックをブロックするフォールスポジティブ確率、Ｐnは、攻撃トラフィックを見逃すフォールスネガティブ確率である。
【００３９】
図２は、適応最適化手段２２、およびフィルタ１６と連絡をとる攻撃推定手段２４を示す。フィルタ１６は、攻撃パケット１８および正常パケット２０を含む着信データ１０を受信する。推定手段２４および最適化手段２２を使用して、フィルタ１６を調整することにより、正常トラフィックをドロップするコストｃpを最小限に抑え、かつ攻撃トラフィックを送信するコストｃnを最小限に抑えることができる。期間がｋからｋ＋１まで経過する際に、推定手段２４は、Ｐn（ｋ）、Ｐp（ｋ）、およびπ’（ｋ）を受け取る。推定手段２４は、πハット（ｋ）を決定する。変数πハット（ｋ）は、以下のように表すことができる。
【数２】
2006352864.tif 000004
【００４０】
攻撃重大度の推定の統計的特性は、Ｅ[πハット]＝πである。パラメータは、πの実際の値が変化しなくても、変化することがある。パラメータの変化は、時間の経過によるπハットの変化に基づいているからである。
【００４１】
最適化手段２２は、πハット（ｋ）を受け取り、それは最適化され、出力Ｐn（ｋ＋１）およびＰp（ｋ＋１）が作成される。最適化の数式は、
【数３】
2006352864.tif 000005
である。
【００４２】
図３は、最適動作点を表すグラフを示す。方向３４で検出感度３６が高くなるにつれて、フォールスポジティブ数３２［Ｐp］は増大し、一方、フォールスネガティブ数３０［Ｐn］は減少する。適応防御システムは、検出感度をグラフ上の任意の点に調整することができる。所定の期間における攻撃重大度に応じて、グラフ上のすべての点は、最適点となり得る。重大な攻撃２６が行われた場合、少数の正常パケットをブロックするより高い検出感度３６を使用し、軽度の攻撃２８が行われた場合、少数の攻撃パケットを許容するより低い検出感度３６を使用することができる。
【００４３】
図４は、時間［ｋ］の間に、データネットワークへの通過が許可された正常パケット数を表すグラフを示す。グラフに示されているように、適応フィルタリングでは、固定パラメータフィルタリングの場合よりも、より多くの正常パケットがフィルタを通過することができた。図４に示すように、適応防御システムは、軽度の攻撃（たとえば、時間０〜時間３００）や重大な攻撃（たとえば、４００〜６００）などで、固定パラメータ防御システムよりも性能が向上している。図４の結果を得た実験は、フィルタ上で、２４ビット、２８ビット、またはバイナリ集約ツリーアーキテクチャを用いて実施された。
【００４４】
上記の実施形態では、実施形態を強調して説明してきたが、添付の特許請求の範囲の範囲内で、実施形態を本明細書に具体的に記載した以外の方法で実施することもできることを理解されたい。
【図面の簡単な説明】
【００４５】
【図１】フィルタの動作の一実施形態を示す図である。
【図２】適応最適化手段の一実施形態を示す図である。
【図３】最適動作点を表すグラフである。
【図４】時間［ｋ］の間に、データネットワークへの通過が許可された正常パケット数を表すグラフである。
【符号の説明】
【００４６】
１０  着信データ、  １２  ドロップデータ、  １４  通過データ、  １６  フィルタ、  １８  攻撃パケット、  ２０  正常パケット、  ２２  最適化手段、  ２４  推定手段、  ２６  重大な攻撃、  ２８  軽度の攻撃、  ３０  フォールスネガティブ数、  ３２  フォールスポジティブ数、  ３４  方向、  ３６  検出感度。
【図１】
2006352864.tif 000006
【図２】
2006352864.tif 000007
【図３】
2006352864.tif 000008
【図４】
2006352864.tif 000009